百度安全无小事课件

百度安全无小事守护数字未来的每一刻第一章安全意识觉醒网络安全威胁无处不在全球威胁态势中国安全现状2024年全球网络攻击事件同比增长35%，攻击手段愈发中国互联网安全形势日益严峻，企业数据泄露频发据统计，过去一年sophisticated黑客组织利用AI技术，让攻击更加精准和隐蔽，传统中有超过60%的中国企业遭遇过不同程度的网络攻击防护手段面临严峻挑战勒索软件、APT攻击、供应链攻击等新型威胁层出不穷，给全球数字经济发展带来重大威胁百度安全服务平台简介国际认证信息系统安全等级保护第ⅢCSA STAR级通过云安全联盟最高级别认证，确保云服务安全标准符合国际最佳实践，通过国家信息安全等级保护三级认为用户提供可信赖的云安全保障证，具备完善的安全管理体系和技术防护能力，满足重要系统安全要求云安全管理体系ISO27017安全无小事每个细节都可能成为攻击入口网络安全如同木桶效应，最短的那块木板决定了整体安全水平看似微不足道的安全漏洞，往往成为黑客攻破整个系统的突破口从弱密码到未打补丁的系统，从员工的一次误操作到配置文件的一个错误参数，任何细节都可能导致灾难性后果真实案例某企业因弱密码导致百万用户数据泄露1漏洞发现攻击者发现该企业管理员使用admin123作为数据库密码，存在严重的弱密码风险2暴力破解黑客利用自动化工具对弱密码进行暴力破解，仅用时3小时就成功获取数据库访问权限3数据窃取攻击者获得系统控制权后，窃取包含姓名、手机号、邮箱等在内的100万用户敏感信息4严重后果第二章常见安全威胁解析了解敌人是战胜敌人的前提本章将深入分析当前网络空间面临的主要安全威胁，从技术原理到攻击手段，从漏洞成因到利用方式，全面剖析黑客的攻击逻辑，为制定针对性防护策略奠定基础应用系统脆弱性概述脆弱性公式主要构成要素人员因素-管理员、开发人员、普通用户业务流程-权限管理、变更控制、应急响应应用系统的脆弱性是由系统资产价值、面临威胁程度和存在漏洞数量共软件系统-应用程序、中间件、数据库同决定的只有全面评估这三个要素，才能准确判断系统安全风险硬件设备-服务器、网络设备、存储设备通用脆弱性示例通信协议漏洞ARP欺骗攻击攻击者伪造ARP应答包，将自己的MAC地址与目标IP绑定，截获网络流量进行窃听或篡改DNS污染攻击向DNS服务器注入虚假解析记录，将用户请求重定向到恶意网站，窃取敏感信息操作系统漏洞未及时打补丁系统存在已公开的安全漏洞但未及时修复，为攻击者提供了已知的攻击路径配置错误默认账户密码未修改、不必要服务未关闭、权限设置不当等配置问题特殊脆弱性示例跨站脚本攻击（）注入攻击（）信息泄漏风险XSS SQL SQLi攻击者在网页中注入恶意JavaScript代码，当通过在输入参数中插入恶意SQL语句，操控数据系统在运行过程中意外暴露敏感信息，如错误页用户访问页面时执行脚本，窃取Cookie、会话库执行非授权操作攻击者可获取、修改、删除面显示数据库结构、源代码注释泄露业务逻辑、令牌等敏感信息分为反射型、存储型和DOM数据库中的敏感信息，甚至获得系统控制权配置文件包含密码等型三种类型跨站脚本攻击（）详解XSS攻击原理与流程典型案例跨站脚本攻击是Web应用中最常见的安全漏洞之一攻某社交网站用户在个人资料中输入击者通过注入恶意脚本代码，在用户浏览器中执行，从而恶意脚本，当其他用户查看该资料窃取用户Cookie、会话信息或进行其他恶意操作时，脚本自动执行并窃取访问者的登录Cookie01攻击者利用获取的Cookie伪造用户脚本注入身份，发布垃圾信息、盗取私人消息，造成用户隐私泄露和平台声誉攻击者在输入框、URL参数中注入JavaScript代码受损02代码执行用户访问页面时，恶意脚本在浏览器中执行03信息窃取脚本获取用户Cookie、表单数据等敏感信息注入攻击（）详解SQLSQLi攻击示例攻击原理与危害SQL注入是通过在用户输入中插入恶意SQL代码，使正常查询SELECT*FROM应用程序执行非预期的数据库操作上述示例中，攻users WHERE username=击者通过构造特殊字符串，绕过了密码验证逻辑admin AND password=password恶意注入OR典型案例某电商网站登录页面存在SQL注入漏洞，1=1--最终执行攻击者无需密码即可登录任意用户账户，获取管理员SELECT*FROM users权限后，下载了包含100万用户信息的整个数据库WHEREusername=admin此类攻击可能导致数据泄露、数据篡改、权限提升等ANDpassword=OR严重后果1=1--信息泄漏的隐患12代码注释泄漏错误信息暴露开发人员在代码中留下的注释包含数据库连接字符串、API密钥等敏感信息，生产系统异常时显示详细错误信息，包含文件路径、数据库结构、服务器配置等内部环境未清理导致泄漏信息34配置文件暴露备份文件泄漏Web目录下存放配置文件，包含数据库密码、第三方服务密钥等敏感配置信息开发过程中产生的备份文件、临时文件未及时清理，可能包含历史版本的敏感数据攻击者通过搜索引擎、目录扫描等手段收集这些信息，为后续深层次攻击做准备，形成信息收集→漏洞发现→权限提升的攻击链条第三章百度安全技术与防护策略防护胜于救灾面对日益复杂的网络威胁，百度构建了多层次、全方位的安全防护体系从底层基础设施到上层应用安全，从技术手段到管理制度，打造立体化安全防线，确保用户数据和业务系统的绝对安全百度安全生态建设互联网公司联盟安全厂商合作与腾讯、阿里巴巴等头部企业建立威胁情报共联合

360、启明星辰等专业安全厂商，整合安享机制，构建行业安全命运共同体全技术资源，提升整体防护能力安全创新终端制造商协同AI推动人工智能时代的安全技术创新，打造智能与华为、小米等设备厂商深度合作，在芯片、化威胁检测与响应系统操作系统层面嵌入安全基因通过构建开放共享的安全生态，实现威胁情报实时共享、安全技术协同创新，共同应对网络空间安全挑战，保障全行业健康发展安全加固与补丁管理补丁管理流程配置加固要点账户安全-禁用默认账户，强制复杂密码漏洞监控策略持续关注官方安全公告服务管理-关闭不必要服务，最小化攻击面影响评估权限控制-实施最小权限原则，定期审计权限分析漏洞对系统影响程度网络隔离-配置防火墙规则，限制网络访问测试验证日志审计-启用安全日志，建立审计机制在测试环境验证补丁兼容性定期进行安全扫描，及时发现配置漏洞和部署上线安全隐患，确保系统始终处于安全加固状态按计划推送至生产环境安全设备部署防火墙（）入侵防御系统（）反拒绝服务攻击（Firewall IPSAnti-）DoS部署下一代防火墙设备，提供网络边实时监测网络流量中的攻击行为，识界防护具备深度包检测、应用识别并阻断各类网络入侵尝试集成最部署专业DDoS清洗设备，应对大规模别、URL过滤等高级功能，有效阻断新威胁特征库，能够检测0-day攻击拒绝服务攻击支持流量牵引、异常恶意流量和未授权访问和APT攻击检测、清洗过滤等核心功能支持状态检测、NAT转换、VPN隧道提供攻击源追溯、事件关联分析、自具备TB级清洗能力，能够有效防护网等网络安全功能，确保内外网安全隔动响应等高级功能，快速定位安全威络层、传输层、应用层等各类DDoS攻离胁击安全编码与应用测试代码审计流程自动化安全测试集成SAST（静态应用安全测试）和DAST（动态应01用安全测试）工具到CI/CD流水线中，实现安全漏洞静态代码分析的早发现、早修复使用工具扫描源代码，发现潜在安全漏洞利用IAST（交互式应用安全测试）技术，在应用运行时进行实时安全监测，提供更准确的漏洞检测结果02人工代码审查渗透测试安全专家进行深度代码审计定期委托第三方安全公司进行渗透测试，模拟真实攻击场景，验证安全防护措施的有效性03漏洞修复验证确认安全问题得到有效解决安全编码规范•输入验证与输出编码•SQL查询参数化处理•敏感数据加密存储•会话管理安全机制应用防火墙与驱动代理SQL应用防火墙（）Web WAF部署应用层防火墙，对HTTP/HTTPS流量进行深度检测和过滤能够有效防护SQL注入、XSS攻击、CSRF攻击等Web应用层威胁核心功能实时流量分析、恶意请求拦截、攻击行为记录、CC攻击防护、爬虫识别与限制数据库防火墙在应用与数据库之间部署数据库防护代理，实时监控SQL语句执行，识别并阻断异常数据库操作主要特性SQL语句白名单、敏感操作告警、数据库访问审计、权限管控、数据脱敏安全网关API针对API接口提供专门的安全防护，包括请求频率限制、参数校验、身份认证、权限控制等功能防护策略API调用监控、异常行为检测、访问控制策略、数据传输加密第四章员工安全意识培养技术防护只是安全体系的一部分，人员安全意识同样重要统计显示，超过90%的安全事件都与人员因素有关通过系统性的安全培训和意识提升，让每一位员工都成为企业安全防线的守护者，是构建全面安全体系的关键环节人是安全链条的第一道防线安全培训体系建设重点防范领域钓鱼邮件识别-教会员工识别虚假邮件的特征社会工程学攻击-提高对电话诈骗、身份伪造的警觉移动设备安全-公用WiFi风险、恶意APP识别物理安全-办公区域准入、设备保护信息保护-敏感文件处理、屏幕隐私保护通过针对性培训，提升员工面对各类安全威胁的识别能力和应对能力新员工入职培训安全政策、密码安全、邮件安全案例分享钓鱼邮件导致内部系统被入侵1邮件投递攻击者伪装成IT部门，向财务部门发送系统升级通知邮件，要求点击链接更新密码2员工中招财务人员未仔细核实邮件真伪，点击链接并在虚假页面输入了OA系统账号密码3权限获取攻击者利用窃取的凭据登录内部OA系统，获得了财务模块的访问权限4横向扩展通过内网渗透，攻击者进一步获得文件服务器权限，下载了大量财务数据和客户资料教训总结这起事件充分说明了人员安全意识的重要性一个看似简单的点击动作，最终导致企业核心数据泄露通过加强员工培训、建立邮件安全网关、启用双因子认证等措施，可以有效防范此类攻击安全文化建设安全责任制激励机制建立人人都是安全员的责任体系，明设立安全行为奖励制度，对发现安全隐确各层级安全职责高层领导承担安全患、举报违规行为、提出改进建议的员战略责任，中层管理者负责执行落实，工给予表彰将安全表现纳入绩效考普通员工做好日常防护核，形成正向激励文化氛围营造浓厚的安全文化氛围，通过安全宣传周、安全知识竞赛、案例分享会等活动，让安全意识深入人心，成为企业文化的重要组成部分安全文化的建设是一个长期过程，需要持续投入和不断强化只有让安全成为每个人的自觉行为，企业才能真正实现本质安全第五章安全事件响应与恢复即使拥有完善的防护体系，安全事件仍可能发生关键在于如何快速响应、有效处置、及时恢复建立科学的事件响应机制，能够最大限度减少安全事件造成的损失，快速恢复业务正常运行事件响应流程发现识别通过监控告警、用户报告、安全扫描等方式发现安全事件，进行初步分类和等级判定分析研判深入分析事件影响范围、攻击手段、损失程度，确定应对策略和响应级别遏制控制快速采取措施阻止事件扩散，隔离受影响系统，保护关键资产安全根除清理彻底清除攻击痕迹，修复安全漏洞，恢复系统安全状态恢复重建恢复业务系统正常运行，加强监控，防止类似事件再次发生各阶段工作需要多部门协同配合，建立24小时应急响应机制，确保能够在第一时间启动响应流程同时做好事件记录和经验总结，不断完善应急预案典型安全事件应对案例攻击应对实战数据泄露事件处理DDoS事件背景某日凌晨，百度搜索服务遭遇大规模DDoS攻击，峰值流事件发现安全监控系统发现某业务数据库存在异常查询行为，疑量达到500Gbps，严重影响用户正常访问似发生数据泄露事件应急响应安全团队在5分钟内启动应急预案，激活清洗中心，将恶应急处置立即隔离相关系统，停止可疑账户访问权限成立专项意流量引流至清洗设备同时启用CDN缓存和负载均衡，分散攻击小组进行事件调查，同时启动客户沟通机制，及时告知可能受影响的压力用户处置结果30分钟内成功清洗恶意流量，服务恢复正常通过攻击后续改进完善数据库审计策略，加强权限管控，建立数据分类分源分析，配合执法部门追查攻击者，并加强了防护策略级保护机制，有效防范类似事件再次发生备份与灾难恢复数据备份策略灾难恢复计划RTO目标-关键业务4小时内恢复1RPO目标-数据丢失不超过1小时异地机房-建立同城和异地灾备中心2演练机制-每季度进行灾难恢复演练3应急预案-制定详细的恢复操作手册1实时备份通过定期演练验证恢复方案可行性，确保在真实灾难发生时能够快速有效恢复业务核心业务数据2每日备份重要业务数据3周期性备份一般业务数据采用3-2-1备份原则保留3个副本，使用2种不同介质，1个副本异地存储确保数据在任何情况下都能安全恢复第六章未来安全展望与百度承诺随着数字化转型深入发展，网络安全面临前所未有的挑战与机遇人工智能、物联网、5G等新技术在带来便利的同时，也引入了新的安全风险百度将继续以技术创新为驱动，构建更加智能、更加安全的数字生态环境赋能安全防护新高度AI智能威胁检测自动化响应预测性安全基于深度学习算法构建智能威胁检测引擎，能够利用AI技术实现安全事件的自动化处置，从威胁通过大数据分析和机器学习预测潜在安全风险，识别传统规则无法发现的0-day攻击和APT攻发现到响应处置全程无人工干预大幅提升响应在攻击发生前采取预防措施构建安全风险模击通过行为分析、流量建模等技术，实现毫秒速度，将平均处置时间从小时级缩短至分钟级型，为安全决策提供数据支撑级威胁识别百度AI安全技术已在搜索、地图、网盘等核心产品中广泛应用，日均处理安全事件超过亿次，准确率达

99.9%以上，为用户提供了坚实的安全保障安全无小事百度与你同行技术创新承诺生态共建承诺持续投入安全技术研发，保持技术先进性每年投开放安全能力，与合作伙伴共建安全生态通过开入研发费用超过营收的15%，其中安全技术占重要源项目、技术标准、人才培养等方式推动行业安全比重水平整体提升用户隐私承诺严格遵循数据保护法规，保障用户隐私安全坚持数据最小化原则，给予用户充分的数据控制权网络安全是全社会的共同责任，需要政府、企业、用户携手努力百度将继续发挥技术优势，承担企业责任，与所有利益相关方一道构建安全可信的数字生态环境，让安全成为数字经济发展的坚实基石，共同迎接更加美好的数字未来。